Интригующее расследование QUEENCREEK

[blik13]

Использование WScript в записи планировщика задач для активации VBS, который запускает WScript, чтобы запустить cmd для вызова командного файла, который в конечном итоге запускает сам бинарник,

Вспомнился анекдот про секс "в гамаке и стоя"

[strvv]

У больших "голубых" фишек так принято.
Тот же HP FreeDOS и систему помощи где рассказывает что такое ноутбук и как его запускать написал в стародавние времена, но меняется железо, методы запуска...

И в итоге эти функции запускаются в эмуляторе, который в свою очередь запускается в другом эмуляторе.

То есть если задача когда-то сделана, но из-за изменений в окружении уже не запускается, то дается задача не переделать эту задачу, а создать капсулу, в которой она запускается.
Потом ещё одну... И то что эта "матрешка" или "капуста" становится опасным изделием - никого не волнует. Даже вопросом не задаются.

[mayorovp]

Только конкретно в данном случае прямой запуск программы работает ничуть не хуже запуска через обёртку. То есть непонятно откуда вообще взялась идея писать её.

[strvv]

Определить причины реализации такого 3х ступенчатого запуска невозможно, можем только гадать. Возможно одна из "хороших" практик, позволяющая в любой момент менять рабочие компоненты, не меняя базовых настроек системы.
А это уже опасная практика, когда знающий об этой "милой" особенности зловред внедрится в один из слоёв запуска, но для системы это останется доверенным, подписанным, методом.

[AVaTar123]

В таком случае (vbs-bat-exe) хотелось бы знать чьё-то компетентное и грамотное мнение насчёт того, могу ли я сам вручную отредактировать запись Intel в Планировщике, прописав в качестве действия непосредственно сам exe, чтобы при этом ничего не сломалось?

[mayorovp]

Да, нет никаких причин по которым прямой запуск мог бы сломаться.

[AVaTar123]

Понимаю, что технических причин тут не должно быть. Но какие-то побочные косвенные, юридические, нарушение чьих-то прав, и т.п. - может же быть?...

Т.е. имею ли я право самостоятельно внести изменения в схему работы Intel ?

А ещё мелькнула мысль, что так могло быть сделано специально, чтобы отловить потенциальных мошенников / вирусов, которые желают встроиться и пристроиться к легитимной деятельности на компьютере. Этакий honey pot, ловля на живца?... Возможно, есть какой-то дополнительный механизм (программа), следящий за невмешательством в такую цепочку запуска легитимной программы? Ну, или хотя бы как "свидетельство канарейки" о беде (тревога!). Мало ли что за этим может стоять? В статье озвучена одна из версий того, почему такое могло случиться. Ну, у меня это тоже одна из версий.

[strvv]

Всё гораздо проще - https://habr.com/ru/companies/ruvds/articles/837998/#comment_27213258

там выделил причину этой матрёшки.

[iTs]

Может это аналог hstart, чтобы окно консоли не мелькало?

промахнулся чуток с ответом

[AVaTar123]

А этот task.exe в консоли работает? У меня его нет, проверить не могу.

[mayorovp]

Наоборот, шаг номер 2 (который запуск cmd.exe) как раз и приводил к мельканию окна.

[Beholder]

Так и не сказали, что эта "суперполезная" программа делает. Гугление показывает, что вроде это для обновленения драйверов (но это не точно). Разве встроенных средств для этого недостаточно?

[Javian]

У меня есть сетевая карта Intel, которая запускается после включения только запуском такого командного файла

devcon disable "PCI\VEN_8086&DEV_1502&SUBSYS_052C1028&REV_04"
devcon enable "PCI\VEN_8086&DEV_1502&SUBSYS_052C1028&REV_04"
netsh interface set interface name="Ethernet" admin=DISABLE
PING 127.0.0.1 -n 6 > null
netsh interface set interface name="Ethernet" admin=ENABLE
PING 127.0.0.1 -n 6 > null
pause

[tsp1000]

Какой ужас. Это самописный скрипт?

[Javian]

Это мое решение "в лоб". Подозреваю, что проблема возникла, когда компьютер получил в обновлениях Windows обновление firmware, которое нарушило работу сетевой карты "Intel(R) 82579LM Gigabit Network Connection ". При включении компьютера сетевая карта не работает - "Запуск этого устройства невозможен (Код 10)". На любых доступных драйверах.
Восстанавливать ME регион я не рискнул, когда нашел, что отключение и включение сетевой карты в Диспетчере устройств восстанавливает работу.

В сети предлагают разные способы типа запрета быстрого запуска, но мне ничего не помогло. Поэтому решил в лоб - при включении компьютера сетевая карта отключается и включается, а на всякий случай затем дергаю сетевой интерфейс.

[Loggus66]

Название QUEENCREEK напоминает кодовые названия инструментов и уязвимостей из арсенала АНБ США, например, COTTONMOUTH или DOUBLEPULSAR, или ETERNALBLUE. Я б тоже забеспокоился.